H3C 的端口映射写法
H3C 的 nat server 语法与华为几乎一致，同样是 protocol 加 global 加 inside 的结构，配置在外网接口下，支持 current-interface 关键字借用接口地址，适合公网地址不固定的场景。它与源转换规则相互独立：nat outbound 负责内网出网，nat server 负责外网访问内网服务，两者可以在同一接口上同时存在。
基本信息
| 适用平台 | H3C Comware 路由器、防火墙与三层交换机 |
|---|---|
| 配置位置 | 连接外网的接口视图下 |
| 地址写法 | 写明公网地址，或使用 current-interface 借用接口地址 |
| 协议支持 | tcp 与 udp，可按端口分别映射 |
| 核对命令 | display nat server 与 display nat session all |
典型使用场景
- 对外发布网站或业务系统，只开放必要端口
- 公网地址不固定时用借用接口地址的方式发布服务
- 多台服务器共用一个公网地址，用不同端口区分
- 临时调试映射，验证后立即回收
- 设备替换时把旧的映射条目逐条重建并核对
H3C Comware
H3C Comware
interface GigabitEthernet1/0/1
nat server protocol tcp global 202.1.1.1 443 inside 192.168.1.20 443
nat server protocol tcp global current-interface 8080 inside 192.168.1.20 80
display nat server # 核对映射条目
display nat session all # 有会话说明映射被命中华为 VRP
华为 VRP
interface GigabitEthernet0/0/1
nat server protocol tcp global 202.1.1.1 443 inside 192.168.1.20 443
display nat server思科 IOS
思科 IOS
ip nat inside source static tcp 192.168.1.20 443 202.1.1.1 443
! 思科顺序相反：内网地址端口在前，公网地址端口在后
show ip nat translations三厂映射写法对照
| 对比项 | H3C Comware | 华为 VRP | 思科 IOS |
|---|---|---|---|
| 命令结构 | global 公网 inside 内网 | global 公网 inside 内网 | 内网在前、公网在后 |
| 配置位置 | 外网接口视图 | 外网接口视图 | 全局语句，依赖接口角色 |
| 借用接口地址 | 支持 current-interface | 支持 current-interface | 无对应关键字，需指向接口地址 |
| 端口区分 | 同一公网地址用不同端口区分多台服务器 | 同左 | 同左 |
| 核对命令 | display nat server | display nat server | show ip nat translations |
配置与运维要点
- 只开放业务必需端口，避免整机映射把主机全部端口暴露
- 同一公网地址同一端口只能对应一个目标，重复配置会互相覆盖
- 映射目标应是加固过的服务器，并在服务器侧同步配置访问控制
- 公网地址必须归属本设备或已路由到本设备，否则条目存在但不可达
- 上线后在外部网络实测端口连通性，不要只在设备上确认条目
- 临时映射用完立即删除，并留档变更记录
常见疑问
- 为什么外网访问不通：先确认映射条目、公网地址归属与服务器侧端口放行三项
- 动态地址场景怎么配：使用借用接口地址的写法，地址变化后映射自动跟随
- 内网能否用公网地址访问该服务：取决于平台实现，需单独验证
- 删除映射怎么做：按条目删除后回读 display nat server 确认已移除
H3C 与华为在这条命令上可以互相参考，唯一要注意思科方向相反：跨厂写配置时把地址顺序核对一遍，能避免大半写错的情况。
端口映射属于把内网服务暴露到公网的动作，安全敏感度高：上线前确认服务已修补已知漏洞、具备认证与访问控制，并做好日志审计。